Не всі дані мають однаковий ризик. Деякі потребують особливої уваги. На цьому уроці розглянемо DNI, дані, які зазвичай обробляють про персонал, та спеціальні категорії зі статті 9 GDPR.
Номер DNI та інші ідентифікатори
Номер DNI, NIE чи паспорта — це персональні дані як і будь-які інші. Це не спеціальна категорія, але його використовують, щоб видати себе за когось, тому поводитися з ним варто обережно:
- Просіть його лише тоді, коли потрібно. Якщо досить імені, не просіть ще й DNI. Принцип мінімізації тут діє так само, як і для будь-яких інших даних.
- Не публікуйте його повністю поруч з іменем. Для публікації адміністративних актів з персональними даними сьома додаткова норма LOPDGDD вимагає ідентифікувати людину за ім’ям і прізвищем та чотирма випадковими цифрами її документа. Це добрий взірець обережності для списків, дощок оголошень і повідомлень.
- Не залишайте окремих копій. Ксерокопія посвідчення, забута на столі чи в лотку принтера, — це витік даних, який ось-ось станеться.
- Не використовуйте його як пароль чи код доступу і не надсилайте ненадійними каналами.
Дані, які зазвичай обробляють про персонал
Компанія обробляє багато даних про своїх працівників: ідентифікація, банківський рахунок, договір, відомість про зарплату, графік, відпустки, відсутності й навчання. Майже все це обробляють на підставі договору та юридичних обов’язків. Бачити їх мають лише ті, кому вони потрібні для роботи: відділ кадрів і бухгалтерська фірма бачать відомості про зарплату, але решта персоналу — ні.
Просте правило: дані колеги не обговорюють, не пересилають і не публікують без чіткої робочої причини. Відомості про зарплату, стягнення, лікарняні й особисті проблеми — не тема для коридору чи групи в месенджері.
Спеціальні категорії даних
Стаття 9 GDPR загалом забороняє обробляти такі дані:
- расове чи етнічне походження
- політичні погляди
- релігійні чи світоглядні переконання
- членство в профспілці
- генетичні дані
- біометричні дані для однозначної ідентифікації особи, наприклад відбиток пальця для обліку робочого часу
- дані про здоров’я
- дані про сексуальне життя чи сексуальну орієнтацію
Є винятки, і на роботі найпоширеніші — обов’язки за трудовим правом і правом соціального забезпечення (стаття 9.2.b) та медицина праці. Приклад: компанія знає про лікарняний через тимчасову непрацездатність і його тривалість, але діагнозу їй знати не потрібно. Інший: профспілковий внесок утримують із зарплати, лише якщо людина про це просить.
Дані про судимості та кримінальні правопорушення теж мають посилений захист. Згідно зі статтею 10 GDPR їх обробляють лише під контролем публічного органу або коли це дозволяє норма. Тому компанія не може просто вимагати довідки про несудимість від усього персоналу: лише тоді, коли закон цього вимагає для діяльності, наприклад довідка про відсутність судимості за сексуальні злочини для роботи з неповнолітніми.
Дані про здоров’я та про неповнолітніх
Якщо на роботі ви бачите дані про здоров’я (медичний центр, будинок догляду, аптека, служба медицини праці) чи про неповнолітніх (школа, навчальний центр), ризик вищий. Суворіше виконуйте вказівки компанії й користуйтеся лише дозволеними системами.
Пам’ятайте: чим чутливіші дані, тим менше людей мають їх бачити й тим краще вони мають бути захищені.